Al menos un servicio de inteligencia ruso está hackeando sistemáticamente cámaras de seguridad conectadas a internet en Europa y Ucrania, utilizando las transmisiones para vigilar rutas de transporte militar, envíos de armas a Kiev y ubicaciones de tropas ucranianas. Así lo indica un aviso de ciberseguridad publicado el 10 de julio por los servicios de inteligencia civiles y militares de Países Bajos (AIVD y MIVD), que describen la operación como en curso.
En Ucrania, la vigilancia no se ha mantenido pasiva. El acceso a las cámaras se ha utilizado para 'neutralizar personal militar ucraniano' y destruir su equipo, convirtiendo una cámara expuesta en una herramienta de puntería. En los estados de la UE y la OTAN, el mismo acceso también recopila inteligencia militar no relacionada con la guerra.
La entrada rara vez es difícil. Los operadores escanean internet en busca de dispositivos expuestos, identifican cámaras IP por marca y acceden a las que aún usan contraseñas predeterminadas, firmware obsoleto y configuraciones de fábrica sin cambiar. Un software de reconocimiento de imágenes realiza búsquedas automatizadas de vehículos militares y la carga que transportan. Ninguno de los accesos descritos requiere un día cero.
¿Qué tan expuestas están estas cámaras?
Ser accesible desde internet no es lo mismo que ser hackeable. 'Tener una cámara públicamente accesible no la hace hackeable', escribe Martijn Grooten, investigador principal de seguridad en Censys, en su propio análisis de la superficie expuesta. Sin embargo, la superficie es enorme. En la UE, los miembros de la OTAN y Ucrania, Censys contó más de 87,000 cámaras conectadas a internet que ejecutan un servicio cuya versión coincide con una vulnerabilidad explotada conocida, un total que considera un límite inferior. Más de 4,000 de ellas están en Ucrania.
Ese total cuenta hosts que ejecutan cualquier servicio vulnerable, no solo cámaras con software defectuoso, una advertencia que Censys menciona. En Países Bajos, Censys encontró 45,386 cámaras accesibles desde internet público y señaló 1,992 como ejecutando un servicio con una vulnerabilidad explotada conocida. Al limitar a fallos en el software de la cámara, la cifra baja a 541. Censys mantiene el recuento más amplio bajo la lógica de que un punto de apoyo en un servicio a menudo puede usarse para tomar el control del host completo.
Esas coincidencias de versión merecen su propia advertencia: un banner de servicio no es un exploit alcanzable. De los dos fallos que Censys destaca, CVE-2016-7407 se encuentra en dropbearconvert, una herramienta de importación de claves local en el servidor SSH Dropbear que ejecuta código solo cuando alguien convierte un archivo de clave malicioso. Se corrigió en julio de 2016, y Censys señaló 159 hosts neerlandeses por ello. CVE-2021-39275 es una escritura fuera de límites que Apache califica como baja, ya que ningún módulo incluido alimenta datos no confiables a la función afectada, aunque un módulo de terceros podría hacerlo. Se parcheó en Apache 2.4.49 en 2021, y 112 hosts neerlandeses ejecutan una versión coincidente. Censys considera ambos como explotados en la naturaleza, aunque ninguno está en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Frente a esa superficie expuesta, las intrusiones confirmadas son menores. En un comunicado separado, los servicios neerlandeses afirmaron haber detectado solo un pequeño número de cámaras comprometidas, ubicadas directamente en rutas logísticas militares dentro de Países Bajos, y que las organizaciones que las operan han sido advertidas para que puedan asegurarlas.
Qué deben hacer los defensores
- – Empiece por encontrar lo que está expuesto: qué cámaras son accesibles desde internet público a través de un reenvío de puertos olvidado, un mapeo UPnP o un relé en la nube del proveedor. Priorice las que tienen vistas a rutas de transporte, puertos y otros sitios sensibles, y revise sus registros en busca de accesos no reconocidos.
- – Mantenga la transmisión de video fuera de internet público: desactive el reenvío de puertos y UPnP, y acceda a las cámaras a través de una VPN.
- – Reemplace las credenciales predeterminadas y active la autenticación multifactor (MFA) donde el dispositivo lo admita; donde no lo admita, mantenga esa cámara fuera de internet público por completo.
- – Oriente la lente deliberadamente: mantenga las rutas logísticas, muelles de carga y otros puntos sensibles fuera del encuadre, y enmascare lo que no pueda evitar.
- – Actualice el firmware y el software, y al comprar, elija cámaras que ofrezcan años de soporte de seguridad, no meses.
Los servicios neerlandeses afirman que no han observado el uso de inteligencia derivada de cámaras para ataques militares fuera de Ucrania. Lo que hace portable la amenaza es lo ordinario de ambas partes: la entrada suele ser solo un inicio de sesión predeterminado, y el valor está determinado por hacia dónde apunta la cámara. Una cámara comprometida entrega al adversario una lectura en vivo de las operaciones físicas, cuándo se mueven los camiones y quién entra y sale, sin necesidad de una brecha más profunda en la red. La solución, entonces, no es solo parchear el dispositivo, sino sacarlo de internet público y controlar lo que puede ver.
Deja una respuesta